Para decir sí, legal necesita saber qué vale hoy y ver qué decidió hacer la empresa. No encontramos investigación que mida a legal como cuello de botella de la IA, así que este mínimo es propuesta nuestra, sin estudio que la valide. La situación legal es la del 04/11/2026.
Lo que es ley hoy
Brasil no tiene ley general de IA. La LGPD, la ley brasileña de protección de datos, ya rige cuando la IA trata datos personales. El art. 20 da al titular el derecho de pedir revisión de decisiones tomadas solo con tratamiento automatizado. El art. 7, IX, y el art. 10 cubren el interés legítimo como base legal y sus límites. El art. 11 trata de datos sensibles, y el art. 12, de datos anonimizados. El art. 38 permite a la autoridad exigir un informe de impacto.
La ANPD, la autoridad brasileña de datos y hoy agencia, no tiene resolución específica de IA. En su lista oficial de regulaciones, ninguna trata de IA ni de decisiones automatizadas. Los parámetros del art. 20 están en su agenda regulatoria, y registra divergencias sobre exigir revisión humana. Aun así, ya actúa: prevé actividades de fiscalización en sistemas de IA y emitió una medida preventiva en el caso de Grok.
Lo que sigue siendo proyecto
El PL 2338/2023 no es ley. Pasó por el Senado y, en la Cámara de Diputados, espera el dictamen del relator en la comisión especial. La ficha no registra dictamen ni fecha de votación, lista cerca de 40 proyectos anexados, y su último acto, el 27/10/2026, fue solo una anexión. El texto todavía puede cambiar, y esperarlo no suspende la LGPD. Quien diga que el marco legal ya se promulgó, o trate una multa del proyecto como regla vigente, se equivoca.
Política de uso
En una encuesta de Gartner, el 71% espera usar agentes de IA en 12 meses, y el 21% dice tener capacidad para gobernarlos. La primera cifra es una expectativa, y Gartner vende asesoría. Una política corta responde cuatro preguntas:
- ¿Qué herramientas están aprobadas, y quién aprueba las nuevas?
- ¿Qué datos no pueden entrar, con atención a los personales y sensibles?
- ¿Quién revisa lo que produce la IA antes de que se vuelva decisión?
- ¿Quién responde por excepciones e incidentes?
Matriz de riesgo
La matriz lista cada uso y responde, para cada uno: ¿hay datos personales o sensibles? ¿La decisión es solo automatizada, lo que activa el art. 20? ¿A quién afecta? ¿Qué control aplica, y quién es el dueño? En los usos de mayor riesgo, mantén el registro de operaciones (art. 37) y un informe de impacto listo (art. 38). Deja espacio para reclasificar cada uso si cambia la ley.
Cláusulas de proveedor
Buena parte de esto se resuelve en el contrato. Entre las empresas brasileñas que usan IA, el 80% compró una solución lista y el 54% contrató a un proveedor para desarrollarla o modificarla. En las de 250 personas o más, el 81% y el 60%. Es autodeclarado, por teléfono, con tasa de respuesta del 8%. El contrato debe cubrir:
- Roles: cuando actúa como operador, el proveedor sigue las instrucciones del controlador (art. 39).
- Entrenamiento: si puede usar tus datos para entrenar modelos, y con qué base legal.
- Transferencia: dónde se tratan los datos, y bajo qué regla (art. 33).
- Incidentes: cómo avisa, para que puedas comunicarlo a la autoridad y al titular (art. 48).
- Salida: de quién son los entregables, y cómo se devuelven o borran los datos.
Este texto no cubre reguladores sectoriales, como el Banco Central, la CVM y la ANS, ni leyes estatales. Ningún número aquí es resultado de Nebuloz.
Situación al 04/11/2026. Este texto es información general, no asesoría legal.